Британија је AI-јем нашла 1.352 пропуста — метод остаје ван јавности

Британска влада је у писаној изјави парламенту од 12. октобра 2026. навела да су два пилота уз помоћ вештачке интелигенције пронашла и обрадила 1.352 пропуста у 548 репозиторијума кода, уз учешће 18 државних органа. Стручњаци владине јединице за сајбер безбедност радили су на примени напредних AI модела, а влада је најавила хитно проширење програма на системе са највећим ризиком.

Резултат је владин збир, без јавно доступног списка налаза и исхода њихове провере. Анализа Пармидера Кумара Шарме налази детаљнији јавни опис само једног ранијег пилота; за укупан збир нису наведени период рада, добављачи, буџет ни начин на који су налази бројани. Зато се из објављеног резултата не може утврдити учинак по моделу, нити цена откривања и отклањања једног пропуста.

Шта стоји иза збирног броја

Формулација „пронашли и обрадили“ обухвата различите могуће исходе без њихове појединачне поделе. Налаз може бити новооткривена слабост, раније познат ризик који је већ ублажен другом мером или пропуст за који је примењена исправка. Јавни збир не показује колико налаза припада свакој од тих група, колико је било дуплих пријава и колико је исправки потврђено после примене.

У истој изјави помиње се и помоћ организацијама у откривању напредних сајбер претњи, али без засебног резултата за тај део рада. Најављено проширење је будућа мера, док се објављени број односи на спроведене пилоте. Влада није одредила јавни рок за проширење нити мерило по којем би се могло оценити да ли је оно смањило ризик у државним системима.

Како је радио описани пилот

Владина студија пилота, објављена 12. јуна 2026, бележи 407 налаза током месец дана рада у девет државних организација и трошак од 13.000 фунти за употребу модела. Тај издатак обухвата токене, а не рад стручњака, проверу пријава и исправљање кода. Студија упозорава: „Finding isn’t the same as fixing“ — проналажење није исто што и отклањање.

Државни центар за координацију сајбер безбедности организовао је недељне сусрете на којима су тимови претраживали јавне репозиторијуме државног кода. У раду су учествовали и стручњаци британског Института за безбедност вештачке интелигенције и Националног центра за сајбер безбедност. Тимови су добили приступ моделима, али су сами градили поступке: један је користио ланац AI агената који међусобно преиспитују налазе, други је надоградио класичне скенере моделима, а трећи је поступак ревизије више сервиса претворио у поновљиве Claude вештине.

Један описани налаз односио се на старију конфигурацију GitHub Actions у репозиторијуму важног државног дигиталног сервиса. Посебно обликован коментар на отвореном захтеву за измену могао је да покрене радни ток у којем се садржај коментара извршавао на аутоматизованом систему, са могућим приступом тајнама и токенима тог тока. Стручњак је ручно проверавао налазе пре ескалације; студија наводи да су све критичне слабости из овог пилота отклоњене и да није уочен доказ њихове злоупотребе. За преостале налазе не даје исти потпун биланс исправки.

Објављено и необјављено

Описани пилот показује како AI може да послужи као део поступка претраге и стручне провере кода. За збир оба пилота нема једнако подробног приказа обухвата, начина потврде и исхода сваке пријаве. Разлика је битна: велики број пријављених слабости сам по себи не показује колико је ризика уклоњено.

• Налази — објављени су укупан број и резултат описаног пилота. Није објављена подела збирног броја према тежини, томе да ли је слабост већ била позната и статусу исправке.
• Репозиторијуми — објављен је укупан обухват оба пилота, а за ранији је описана претрага јавног кода. Нема јавног списка прегледаних репозиторијума ни њихове расподеле по пилоту.
• Учесници — познат је број укључених државних органа, као и обухват организација у ранијој студији. Нису објављени називи свих учесника нити расподела налаза по њима.
• Трошак — наведен је издатак за токене у описаном пилоту. Нису наведени трошкови рада стручњака, другог пилота и програма у целини.
• Модели — студија као примере савремених система помиње Claude Mythos и GPT-5.5, а описује и употребу Claude вештина. Не прецизира који је модел сваки тим користио за појединачне налазе, док за укупан збир нема списка модела и добављача.
• Потврда — описана је људска провера важних налаза у ранијем раду. За оба пилота заједно није објављено јединствено правило за уклањање дупликата, прихватање налаза и потврду исправке.

Шта проширење значи за јавне набавке

Британски пример је релевантан и за јавни сектор Србије ако буде набављао сличне AI провере. Наручилац би пре пилота морао да одреди који код добављач сме да прегледа, коме се налаз пријављује, ко га технички потврђује и шта се рачуна као отклоњен ризик. Посебно треба раздвојити цену употребе модела од трошка стручног прегледа и исправљања, јер је код документованог британског пилота објављена само прва ставка.

Поређење са британским резултатом тражило би и исти обрачунски период, познат обухват репозиторијума и јасну поделу између кандидата за пропуст, прихваћеног налаза и примењене исправке. Без тих података, већи број пријава може бити последица шире претраге или већег терета провере за људе. Најављено британско проширење показаће више о стварном учинку тек када буду објављени његов обухват, трошкови и исходи провере налаза.

Прочитајте и:

• Fiddler Classic пропуст подиже привилегије — исправка је верзија 6.0.20262.10021
• SharePoint пропуст се активно злоупотребљава — августовска закрпа је кључна
• Ollama или LM Studio: бржи одговор није и већа пропусност